AWS WAF CAPTCHA Çözücü: aws-waf-token'ı Otomatik Alın

AWS WAF, Amazon Web Services'in CloudFront dağıtımlarının, yük dengeleyicilerin ve API ağ geçitlerinin önüne koyduğu güvenlik duvarıdır. Site sahipleri her isteğe ne olacağına karar veren kurallar yazar ve kullanılabilir eylemlerden biri CAPTCHA'dır. Bir kural tetiklendiğinde ziyaretçi istediği sayfayı almaz. Bunun yerine bir bulmaca alır ve yalnızca çözülmüş bir bulmaca, süresi dolana kadar sonraki isteklerin geçmesine izin veren aws-waf-token çerezini kazandırır.

Doğrulama size iki biçimden biriyle ulaşır. Yaygın olanı bir ara sayfadır: sunucu HTTP 405 durum koduyla ve window.gokuProps'u (bir key, bir iv ve bir context) tanımlayıp challenge.js ile captcha.js dosyalarını awswaf.com sunucularından yükleyen küçük bir HTML sayfasıyla yanıt verir. Diğeri JavaScript API'sidir: site jsapi.js'i yerleştirir ve AwsWafCaptcha.renderCaptcha'yı kendi API anahtarıyla çağırır; böylece bulmaca sayfanın yerini almak yerine bir formun içinde görünür. Bir AWS WAF çözücünün ikisini de kabul etmesi gerekir.

Bulmacanın kendisi genellikle resim ızgarasıdır: dokuz fotoğraf, çanta, yatak, saat veya perde gibi gündelik bir nesneyi adlandıran tek bir talimat ve bir Onayla düğmesi. İkinci türde ziyaretçiden bir oyuncak arabayı küçük bir kasabanın içinden yolun sonuna kadar sürmesi istenir. Erişilebilirlik için ayrıca sesli bir seçenek de vardır. Hangisi çıkarsa çıksın, istemcinizin önemsediği sonuç aynıdır: geçerli bir token ya da eski API'de sayfanın çerezle takas ettiği bir captcha_voucher ve existing_token çifti.

Büyük ölçekte önce ağınızı, sonra kodunuzu planlayın. CapSkip'i birkaç sayfada denemek için tek bir IP yeterlidir, ancak AWS WAF'ı günde binlerce kez tetikleyen bir tarayıcı, CapSkip uygulamasına yüklenmiş ya da proxy ve proxytype alanlarıyla her istekle gönderilen bir proxy havuzu üzerinden dönüşümlü çalışmalıdır. Çerezi onu isteyen oturumla birlikte tutun ve site yeniden 405 ile yanıt vermeye başladığında yeni bir çerez isteyin.